Managed Service for Prometheus:グローバル集約インスタンスによるクロスアカウントの統合監視

リソースディレクトリを使用して、企業のマルチアカウント構成をセットアップします。リソースディレクトリの詳細については、「What is Resource Directory?」をご参照ください。

次のいずれかの方法を使用して、信頼されたサービスの委任管理者を設定します。

データ集約を設定します。

1. Alibaba Cloud アカウント A を使用してPrometheus コンソールにログインします。

2. 左側のナビゲーションウィンドウで、[インスタンス] をクリックします。

3. Prometheus インスタンスの作成 をクリックします。新規インスタンスの作成 ページで、次の表の説明に従ってパラメーターを設定し、今すぐ作成 をクリックします。

   パラメータ	説明
   [インスタンスタイプ]	グローバル集約インスタンス を選択します。
   [Instance Name]	グローバル集約インスタンスの名前を入力します。
   [属するリソースグループ]	インスタンスのリソースグループを選択します。
   [タグ]	タグは、大文字と小文字が区別されるキーと値のペアです。最大 20 個のタグを追加できます。
   Endpoint	Endpoint は、リクエストのアクセス先と、アラートを設定するリージョンを決定します。インスタンス数が最も多いリージョンを選択してください。別のリージョンを選択すると、アクセス速度やシステムの安定性に影響する場合があります。
   [集約するインスタンスの選択]	その他のアカウント (リソースディレクトリ) を選択し、リソースディレクトリメンバーのアカウント を選択して、対象の Prometheus インスタンスを追加します。 説明 別のアカウント (リソースディレクトリ) を選択すると、Managed Service for Prometheus はリソースディレクトリ内の信頼されたサービスのステータスを有効化します。 異なるリージョンからインスタンス名を選択して、リージョンをまたいでインスタンスを集約できます。インスタンスを選択する前に、[エンドポイント]セクションでアクセスエンドポイントを指定する必要があります。

   説明

   グローバル集計インスタンスは、Operation 列の [編集] をクリックして編集できます。作成後はエンドポイントを変更しないでください。変更すると、元のエンドポイント用に設定されたアラートルールが無効になります。

Account B で RAM ロールを作成します。

1. Account B を使用して RAM コンソールにログインします。

2. 左側メニューで、アイデンティティ > ロール を選択します。

3. ロール ページで、ロール作成 をクリックします。

4. ロール作成 ページで、信頼プリンシパルタイプ を アカウント に設定し、Alibaba Cloud アカウントの詳細を指定してから、OK をクリックします。

5. RAM ロールの設定 ステップで、[ロール名] を AliyunPrometheusQueryRole に設定します。信頼できる Alibaba Cloud アカウントを選択 には、他の Alibaba Cloud アカウント を選択し、アカウント A の ID を入力します。次に、Finish をクリックします。

6. 作成したロールの名前をクリックします。ロール詳細ページで、トラスト規則 タブをクリックします。編集トラスト規則 をクリックし、ポリシーを変更してアカウント A に信頼を付与します。

   ロールの作成後、[信頼ポリシー] タブをクリックして、信頼ポリシー JSON を表示します。このポリシーは、Action として sts:AssumeRole、Effect として Allow を指定し、Principal には信頼できる Alibaba Cloud アカウントの ARN が含まれています。

   説明

   信頼されたアカウントは配列で指定されるため、複数のアカウントに対して同時に信頼を付与できます。

AliyunPrometheusQueryRole ロールに AliyunRAMReadOnlyAccess および AliyunARMSReadOnlyAccess 権限を付与します。

1. 左側のナビゲーションペインで、アイデンティティ > Role を選択します。対象のロールを探し、Operation 列の 権限を新規付与する をクリックします。

2. 権限を新規付与する パネルの 権限ポリシー セクションで、AliyunRAMReadOnlyAccess と AliyunARMSReadOnlyAccess を検索して選択し、権限を付与 をクリックします。

(オプション) Account A 用の RAM ユーザーを作成します。

1. Account A を使用して RAM コンソールにログインします。

2. 左側のナビゲーションペインで [Identities] > [Users] を選択します。[Users] ページで [Create User] をクリックします。

3. ユーザーの作成 ページで、ユーザーの基本情報を設定します。

   1. [ログイン名]: 英字、数字、ピリオド (.)、ハイフン (-)、およびアンダースコア (_) を使用できます。長さは最大 64 文字です。

   2. [Display name]：最大 128 文字まで含めることができます。

      説明

      ユーザーの追加 をクリックして、一度に複数の RAM ユーザーを作成します。

   3. [アクセス方法]: セキュリティのため、人間のユーザーとアプリケーションユーザーを分離するには、アクセスモードを 1 つだけ選択することをお勧めします。

      • [コンソールへのアクセス]

        RAM ユーザーが人間である場合は、コンソールアクセスを有効にすることを推奨します。これにより、ユーザー名とパスワードで Alibaba Cloud にアクセスできます。次のパラメータを設定します。

        • [Console password]：パスワードを自動生成するか、カスタムパスワードを設定できます。カスタムパスワードは、設定されたパスワード複雑性ルールを満たす必要があります。詳細については、「Set a password policy for RAM users」をご参照ください。

        • [Password reset policy]：次回ログイン時に RAM ユーザーにパスワードのリセットを要求するかどうかを選択します。

        • [多要素認証 (MFA)]：RAM ユーザーに対して MFA を有効にするかどうかを選択します。MFA を有効にする場合は、MFA デバイスをバインドする必要があります。詳細については、「Bind an MFA device for a RAM user」をご参照ください。

      • [永久 AccessKey を使用したアクセス]

        RAM ユーザーがアプリケーションを表す場合は、永続的な AccessKey ペアを使用して Alibaba Cloud にアクセスできます。有効にすると、システムによって AccessKey ID と AccessKey シークレットが自動的に生成されます。詳細については、「Create an AccessKey pair」をご参照ください。

        重要

        • AccessKey シークレットは作成時に 1 回だけ表示され、後から取得できません。必ず安全に保管してください。

        • AccessKey ペアは長期的な認証情報です。漏えいした場合、アカウント配下のすべてのリソースに対してセキュリティリスクが生じます。認証情報の漏えいリスクを低減するために、Security Token Service (STS) トークンなどの一時的な認証情報を使用することを推奨します。詳細については、「Best practices for using access credentials to call Alibaba Cloud APIs」をご参照ください。

4. [OK] をクリックします。

5. 画面の指示に従ってセキュリティ検証を完了します。

Account A の RAM ユーザーに権限を付与します。

1. 対象の RAM ユーザーの名前をクリックし、権限管理 タブをクリックします。

2. 権限を新規付与する をクリックします。表示されたパネルの 権限ポリシー タブで、AliyunSTSAssumeRoleAccess および AliyunARMSFullAccess ポリシーを検索して選択します。次に、権限を付与 をクリックします。

Prometheus インスタンスのデータを集約します。

1. Account A の RAM ユーザーとして Managed Service for Prometheus コンソールにログインします。

2. 左側のナビゲーションペインで、インスタンス管理 をクリックします。

3. 目的のグローバル集約インスタンスを見つけて編集をOperation列でクリックした後、[ステップ 3] セクションで、選択 [集約するインスタンス] から その他のアカウント (カスタム認証) を選択します。

4. Alibaba Cloud アカウント の横にある検索ボックスでアカウント B を検索し、Confirm をクリックします。アカウント B に属するすべての Prometheus インスタンスがフィルタリングされて表示されます。集約するインスタンスを選択し、集約インスタンスの編集 をクリックします。

   説明

   カスタム認証によるクロスアカウント監視の設定を編集して保存できるのは、権限が付与された RAM ユーザーのみです。メインの Alibaba Cloud アカウントにはこの権限がありません。